테스트·보안 스킬

Detects tables created without ROW LEVEL SECURITY enabled, over-permissive policies (USING (true) / WITH CHECK (true) without owner conditions), and service_role key exposure in client code.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

差分が「その差分自身を審査するレビュー基準・品質ゲート」を弱めていないかを diff-time で検出する。Check 1 レビュールールの削除・弱体化（.river/rules.md / .river/rules.d/*）、Check 2 実行時コンフィグの閾値・ゲート緩和（.river-review.{json,yaml,yml} の review.severity 引き下げ / exclude 拡大 / memory.suppressionEnabled 無効化 / selection.skills.exclude 追加）、Check 3 suppression entry の新規追加、Check 4 lint・静的解析設定からのルール削除や無効化、Check 5 branch protection・required check の緩和、の 5 Check を対象とし、これらが機能変更と同一 PR に混在し、かつ意図の宣言が無い場合に指摘する。report-only。workflow の permissions / action pin は gha-workflow-security、既存 suppression entry の使い分けは suppression-feedback、設定ファイルの一般的妥当性は config-json、.only / .skip / @ts-ignore / @ts-nocheck は heuristic-review.mjs の決定論検出器、リファクタと機能追加の混在は behavior-structure-separation へ委譲する

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Check common security risks in application code (SQLi, XSS, secrets, open redirect).

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

完成した差分・PR・検証証拠に残る Unknown（未確認の前提・調査されていない影響・ 不足している証拠）を横断合成する evidence-sufficiency のメタ観点。個別 defect の 検出は既存 skill へ委譲し、本 skill は「そのリスク種別を調査した証拠が残っているか」 の meta 評価のみを行う。通常は finding verification 後の generic 合成ステップとして、 明示的 Security Audit では SecurityAuditCoverage 専用 profile として report-only で実行する。 残存 Unknown は既存 Unknown Coverage 構造へ出力し、新しい語彙・schema は作らない。

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

検査器（linter / ガード / CI ゲート / バリデータ / フィルタ）そのものの検出力が差分で静かに落ちていないか、また新設した検査が実際に検出できることが実証されているかを diff-time で検出する。Check 1 unverified detection reduction（検査器の検出ロジック（正規表現・除外パターン・解決集合・allowlist・baseline）を変更して検出件数が減ったのに、減った 1 件ずつが誤検出であった根拠が示されないまま「誤検出を潰した」「N → M 件に減少」と改善として主張している）、Check 2 unproven guard detection power（新しい検査ロジック・CI ゲート・バリデーションを追加・変更したのに、検出すべき入力を注入して検出されること／検出すべきでない入力で黙ることを示す変異注入の証跡が無く、「追加した」「CI が緑」を検出力の証拠として扱っている）、の 2 Check を対象とする report-only。テスト自身のアサーションが実質何も検証していない構造は test-assertion-effectiveness、レビュー基準・品質ゲートの明示的な弱体化（ルールの削除・閾値の引き下げ・suppression entry 追加・lint ルールの無効化）は review-criteria-integrity、リファクタ完了主張一般の検証は refactor-claim-audit、workflow の permissions と action pin は gha-workflow-security、設定ファイルの構文・型の妥当性は config-json へ委譲する

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Check whether changed code paths have corresponding tests and suggest minimal coverage.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

宣言した処理（計測 / 通知 / 保存 / 検証 / 例外通知）が起点から末端まで途切れず配線されているかを確認し、「実装したつもり」で経路が途中で止まっている欠落を検出する

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Detects over-permissive Firestore/Storage rules (allow read, write: if true / auth-only without ownership), missing auth checks on writes, and admin SDK private key exposure to client bundles.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

リファクタリング（構造変更）と機能変更（behavior change）が同一 diff に混在していないかを識別し、structural change に対する external behavior preservation の証拠（テスト・型・静的解析）が揃っているかを diff-time で確認する。証拠不足のときは Characterization Test 追加を促すか question とする。DTO/公開 API の破壊的変更検出は api-compatibility、完了主張の反証や抽出リファクタの性能特性退行は refactor-claim-audit、新知識の命名・責務・境界への反映は knowledge-to-code-alignment、投機的抽象化・スコープ逸脱は altitude-generalization / fix-scope-integrity へ委譲する

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

diff-time で「影響範囲を repo 全体で調査した証拠」「失敗系を検証した証拠」「外部依存・レート制限・キャッシュ整合を確認した証拠」の欠落を検出する evidence-sufficiency 観点。defect そのものは既存 skill へ委譲し、本 skill は「そのリスク種別を調査した証拠が差分・PR 本文・テストに残っているか」の meta 評価のみを行う。証拠が同一 diff に同梱（テスト・canary・grep 記録）されていれば充足とみなす

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

await 漏れ・floating promise・並行競合など、非同期処理の correctness バグを検出する。並列化の効率提案（SIMPLIFY Efficiency）や配線断点（e2e-wiring）ではなく、「await を忘れて結果・順序・エラー伝播が壊れる」実装バグに限定する

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Repository または subsystem を対象に、source-only で明示的なセキュリティ監査を行う entry skill。 通常の PR セキュリティレビューとは分離し、reconnaissance、scope 固定、既存 security skill への委譲、 evidence と unresolved hypothesis、observe-only SecurityAuditCoverage、coverage critic、 structured audit artifact と repeat-run coverage を扱う。target-controlled code は実行しない。

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Detect breaking API contract changes, DTO modifications without compatibility handling, and missing tests for changed API boundaries.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

変更差分から重要なテスト観点と欠落を洗い出し、優先度付きでテストケース案を提示する

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Ensure tests use clear naming and cover edge cases with proper describe/it structure.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

テストは存在するがアサーションが実質何も検証しておらず、実装が壊れても落ちない（常に PASS する）構造を diff-time で検出する。Check 1 missing assertion（テスト本体にアサーションが無い）、Check 2 tautological assertion（定数同士・入力自身・mock の戻り値自身を assert し SUT に依存しない）、Check 3 nonexistent expected literal（assertDontSee / assertNotContains 等の期待文字列が対象ファイルに実在しない）、Check 4 stale expected value（同一 diff で対象の出力が変わったのに期待値が据え置き）、Check 5 unscoped expectation（汎用的な属性・クラスを応答全体に対して assert し対象要素にスコープされていない）、Check 6 swallowed failure（例外の握り潰しや到達しない位置のアサーションで判定が成立しない）、の 6 Check を対象とする report-only。テストの有無は test-existence、未テスト経路の量は coverage-gap、非決定性は flaky-test、命名は test-naming、JS/TS の un-awaited resolves / rejects は vitest-mock-isolation、tdd-ledger artifact ベースの RED/GREEN 検証は plangate-tdd-evidence、.only / .skip / xit / @ts-ignore と空の catch は heuristic-review.mjs の決定論検出器へ委譲する

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Applies standard AI review policy guidelines for downstream (test/QA) phase reviews.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Reviews GitHub Actions workflow diffs for script injection of untrusted input, pull_request_target with untrusted checkout, over-broad GITHUB_TOKEN permissions, and unpinned third-party actions.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Find missing tests for critical paths, edge cases, and failure handling in changed code.

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

テスト観点のレビューエージェント。 テスト網羅性、命名規則、フレーキーテスト、カバレッジギャップの個別スキルへルーティングする。

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

セキュリティ観点の通常レビューエージェント。 基本的なセキュリティチェック、認証・認可設計、プライバシー設計の個別スキルへルーティングする。 repository / subsystem の明示的な security audit は river-review-security-audit へ委譲する。

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

敵対的分析手法を統合したレビューの entry skill。認知バイアス対策の3手法 （Pre-mortem / War Game / Logic Torturing）と、宣言・主張と実態の乖離を突く claim-vs-actual 検出3パターン（Self-Contradiction / Refactor-Claim Audit / Cross-File Leakage）へルーティングし、通常のレビューでは見えない設計の盲点・ 防御の穴・論理の弱点・宣言と実装のズレを可視化する。

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

Create an operating policy and roadmap for a live portfolio of Claude Code skills. Use when the user asks to organize, govern, audit, measure, retire, or scale skills already used by a team or repository. Also trigger on "スキルの運用計画", "スキルポートフォリオ", "スキルロードマップ", "スキルを整理して".

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.

AI 駆動開発のレビュー品質を安定化させるレビュー規律。レビュー対象を分類し、要件・設計・差分・検証・報告を分けて見て、根拠に基づき approved / needs_revision / blocked / rejected を明示し、未検証事項と残リスクを隠さず memory に残す。「レビューして」「PR レビュー」「仕様/設計/差分/検証/報告をレビュー」「セキュリティ影響/データ影響を確認」「完了報告を検証」「/compact 前にレビュー記憶を作る」ときに使う。

한국어 요약은 준비 중입니다. 원문 설명을 표시하고 있습니다.